Pravno

Ugovor o obradi ličnih podataka

Verzija 1.1 · Posljednje ažuriranje: 2. septembar 2026.

1. 1.Predmet i primjena

   Ovaj Ugovor primjenjuje se isključivo na lične podatke koje Obrađivač obrađuje u ime kontrolora radi pružanja funkcionalnosti XPay platforme koje je kontrolor aktivirao.

   Ovaj Ugovor ne primjenjuje se na obradu koju NoLimitDevelopment d.o.o. vrši za vlastite svrhe, a to su prije svega zasnivanje i vođenje ugovornog odnosa sa kontrolorom, izdavanje računa i naplata naknada, sigurnost i razvoj platforme te ispunjavanje vlastitih zakonskih obaveza. U tom dijelu postupa kao samostalni kontrolor, a ta obrada uređena je dokumentom Politika privatnosti.

   Pojmovi koji ovdje nisu posebno definisani imaju značenje utvrđeno u dokumentu XPay Ugovor o korištenju poslovne platforme i u dokumentu Uslovi korištenja.

2. 2.Uloge strana

   Kontrolor određuje svrhu i način obrade ličnih podataka koje unosi u XPay platformu, koje kroz platformu prikuplja ili koji nastaju njegovim korištenjem platforme.

   Obrađivač te podatke obrađuje isključivo u ime kontrolora i samo u obimu potrebnom za pružanje ugovorenih usluga. Obrađivač ih ne koristi za vlastite svrhe, ne prodaje ih i ne ustupa trećim licima osim kako je uređeno ovim Ugovorom.

   Kontrolor je odgovoran za zakonitost prikupljanja podataka, za postojanje odgovarajućeg pravnog osnova i za informisanje lica na koja se podaci odnose.

   XPay nije banka i ne izvršava platne transakcije. Obradu podataka koju banke i druga ovlaštena platna infrastruktura vrše prilikom izvršenja plaćanja ovaj Ugovor ne obuhvata, jer ti subjekti u odnosu na tu obradu postupaju kao samostalni kontrolori prema vlastitim propisima i uslovima.

3. 3.Priroda i svrha obrade

   Obrađivač obrađuje lične podatke radi pružanja, održavanja i tehničke podrške funkcionalnostima koje kontrolor koristi.

   Obrada obuhvata sljedeće radnje:

   • vođenje korisničkih naloga, uloga i ovlaštenja osoblja kontrolora
   • generisanje QR kodova i povezivanje računa sa podacima potrebnim za plaćanje
   • evidentiranje narudžbi sa stola, statusa računa i evidencije gotovinske naplate
   • izradu, slanje i praćenje naplate faktura koje kontrolor izdaje
   • sravnjivanje uplata sa izdatim računima na osnovu podataka koje kontrolor dostavi ili uveze
   • razmjenu podataka putem API-ja i webhook obavještenja sa sistemima koje kontrolor koristi
   • tehničku podršku i otklanjanje grešaka na zahtjev kontrolora
   • pohranu podataka i praćenje rada sistema

4. 4.Trajanje obrade

   Obrada traje dok traje ugovorni odnos između Obrađivača i kontrolora.

   Nakon prestanka ugovornog odnosa Obrađivač podatke obrađuje samo u obimu i u rokovima predviđenim odredbom ovog Ugovora o brisanju i vraćanju podataka.

5. 5.Kategorije lica na koja se podaci odnose

   Obrada se može odnositi na sljedeće kategorije lica:

   • zaposlenike i druge osobe kojima kontrolor dodijeli korisnički nalog na XPay platformi
   • goste koji naručuju za stolom ili plaćaju skeniranjem QR koda kod kontrolora
   • kupce i klijente kojima kontrolor izdaje račun ili fakturu kroz XPay
   • kontakt osobe kod poslovnih partnera kontrolora, navedene na računima i u evidencijama
   • osobe koje se kontroloru obrate kroz funkcionalnosti platforme, na primjer pozivom osoblja ili napomenom uz narudžbu

6. 6.Vrste ličnih podataka

   Obrada se može odnositi na sljedeće vrste podataka:

   • podaci o nalogu osoblja: ime i prezime, adresa elektronske pošte, broj telefona, uloga, objekat i evidencija prijava na sistem
   • podaci gosta koji naručuje za stolom: broj stola, sadržaj i vrijeme narudžbe, napomene uz narudžbu, te ime i kontakt podatak kada ih gost sam unese
   • podaci o računu i naplati: iznos, opis stavki, datum, status plaćanja, referenca i poziv na broj
   • podaci primaoca fakture: naziv, adresa, identifikacioni broj, te ime, adresa elektronske pošte i telefon kontakt osobe navedene na računu
   • podaci iz bankovnog izvoda koji kontrolor uveze radi sravnjivanja, u obimu u kojem su u izvodu sadržani, uključujući naziv platioca, iznos, datum i opis plaćanja
   • tehnički podaci koji nastaju korištenjem platforme: IP adresa, vrsta uređaja i preglednika, te zapisi o pristupu i radnjama u sistemu
   • sadržaj poruka koje kontrolor ili njegovo osoblje uputi podršci za XPay platformu

7. 7.Posebne kategorije podataka

   XPay platforma nije namijenjena obradi posebnih kategorija ličnih podataka, kao što su podaci o zdravlju, vjerskom ili nacionalnom opredjeljenju, političkom uvjerenju ili biometrijski podaci.

   Kontrolor je dužan takve podatke ne unositi u platformu, uključujući opise stavki na računima, napomene i priloge, osim ako je obrada takvih podataka prethodno pisano dogovorena sa Obrađivačem uz odgovarajuće dodatne mjere zaštite.

8. 8.Obrada po uputstvu kontrolora

   Obrađivač obrađuje lične podatke isključivo na osnovu dokumentovanih uputstava kontrolora.

   Dokumentovana uputstva čine ovaj Ugovor, dokument XPay Ugovor o korištenju poslovne platforme, dokumentacija platforme i postavke koje kontrolor odabere u svojoj konzoli.

   Dodatna uputstva kontrolor dostavlja u pisanoj formi na info@xpay.ba. Ako izvršenje dodatnog uputstva zahtijeva izmjenu platforme ili značajan dodatni rad, strane će se posebno dogovoriti o uslovima i troškovima izvršenja.

   Obrađivač može obrađivati podatke i kada je to propisano obavezujućim propisom. U tom slučaju Obrađivač će prije obrade obavijestiti kontrolora o toj obavezi, osim ako propis takvo obavještenje zabranjuje.

   Ako Obrađivač ocijeni da je pojedino uputstvo u suprotnosti sa propisima o zaštiti ličnih podataka, o tome će obavijestiti kontrolora i može do razjašnjenja odgoditi postupanje po tom uputstvu.

9. 9.Obaveze kontrolora

   Kontrolor jamči da za obradu podataka koje unosi u platformu ili čije unošenje kroz platformu omogućava ima valjan pravni osnov.

   Kontrolor je odgovoran za sadržaj obavještenja o privatnosti koje daje svojim gostima, kupcima i klijentima, kao i za sadržaj koji sam unosi u opise, napomene i priloge.

   Kontrolor dodjeljuje korisničke naloge samo osobama kojima je pristup potreban za rad i bez odlaganja ukida pristup osobama kojima više nije potreban.

   Kontrolor je dužan bez odlaganja obavijestiti Obrađivača ako sazna za neovlašten pristup svom nalogu, gubitak pristupnih podataka ili kompromitovanje API ključa.

10. 10.Povjerljivost

    Podacima kontrolora pristupaju samo zaposlenici i saradnici Obrađivača kojima je taj pristup potreban radi izvršenja ugovorenih usluga, i to u obimu koji njihov posao zahtijeva.

    Te osobe obavezane su na povjerljivost ugovorom, posebnom izjavom o povjerljivosti ili zakonskom obavezom, a obaveza povjerljivosti traje i nakon prestanka njihovog radnog ili poslovnog angažmana kod Obrađivača.

    Obrađivač upoznaje osobe koje imaju pristup podacima sa pravilima zaštite podataka i sigurnosnim pravilima platforme.

11. 11.Sigurnosne mjere

    Obrađivač primjenjuje tehničke i organizacione mjere primjerene riziku obrade, vrsti podataka i stanju tehnike, među kojima su:

    • šifrovanje podataka u prenosu savremenim protokolima, te šifrovanje pristupnih podataka i drugih tajni prije njihovog upisa u bazu
    • razdvajanje podataka po poslovnom korisniku, tako da jedan korisnik ne može pristupiti podacima drugog
    • kontrola pristupa zasnovana na ulogama i pojedinačni imenovani nalozi, bez dijeljenih pristupnih podataka
    • čuvanje lozinki i API ključeva u obliku koji ne omogućava njihovo naknadno čitanje
    • evidentiranje pristupa i značajnih radnji u sistemu
    • odvojena razvojna i testna okruženja, bez korištenja stvarnih podataka kontrolora za razvoj i testiranje
    • redovno ažuriranje komponenti sistema i praćenje objavljenih sigurnosnih ranjivosti
    • interne procedure za prepoznavanje, prijavu i rješavanje sigurnosnih incidenata

12. 12.Izmjena sigurnosnih mjera

    Obrađivač može pojedine mjere mijenjati, dopunjavati ili zamjenjivati kako se tehnologija i rizici mijenjaju.

    Izmjena ne smije smanjiti nivo zaštite podataka kontrolora u odnosu na nivo koji je postojao na dan početka primjene ovog Ugovora.

13. 13.Podobrađivači

    Kontrolor daje opštu saglasnost da Obrađivač za obradu ličnih podataka angažuje podobrađivače.

    Sa svakim podobrađivačem Obrađivač zaključuje ugovor kojim mu nalaže obaveze zaštite podataka koje nisu blaže od obaveza koje Obrađivač ima prema ovom Ugovoru.

    Obrađivač ostaje odgovoran kontroloru za rad podobrađivača kao za vlastiti rad.

    O namjeri angažovanja novog podobrađivača ili zamjene postojećeg Obrađivač će kontrolora obavijestiti najmanje trideset dana unaprijed, na adresu elektronske pošte navedenu u njegovom nalogu ili obavještenjem u konzoli.

    Kontrolor može u roku od petnaest dana od prijema obavještenja uložiti obrazložen prigovor iz razloga zaštite podataka. Strane će nastojati pronaći razumno rješenje, a ako ono ne bude pronađeno, kontrolor može raskinuti dio usluge na koji se promjena odnosi, uz plaćanje naknada dospjelih do dana raskida i bez prava na naknadu štete po tom osnovu.

    Kada je zamjena podobrađivača hitna zbog sigurnosnog razloga ili prestanka rada dosadašnjeg podobrađivača, Obrađivač je može izvršiti odmah i o tome obavijestiti kontrolora bez odlaganja.

14. 14.Kategorije podobrađivača

    Obrađivač angažuje podobrađivače iz sljedećih kategorija:

    • pružaoci hosting usluga i serverske infrastrukture, na kojoj rade aplikacija i baza podataka
    • pružaoci usluga isporuke elektronske pošte, za slanje faktura, obavještenja i poruka o nalogu

15. 15.Spisak podobrađivača

    Ažuriran spisak podobrađivača, sa nazivom, svrhom angažmana i mjestom obrade, Obrađivač objavljuje u dokumentu Podobrađivači, na stranici xpay.ba/podobradioci, i dostavlja ga kontroloru na zahtjev upućen na info@xpay.ba.

    Spisak je javan i objavljuje se bez naknade. Na njemu su navedeni samo pružaoci koji su stvarno angažovani, pa kategorija predviđena ovim Ugovorom koja se u spisku ne pojavljuje nije angažovana.

16. 16.Zahtjevi lica na koja se podaci odnose

    Zahtjeve za pristup, ispravku, brisanje, ograničenje obrade, prenosivost podataka i prigovor rješava kontrolor, jer je on strana koja odlučuje o svrsi obrade.

    Obrađivač će kontroloru, uzimajući u obzir prirodu obrade, pružiti razumnu pomoć kroz funkcionalnosti platforme koje omogućavaju pregled, izmjenu, izvoz i brisanje podataka, a po potrebi i dodatnim tehničkim radnjama.

    Ako se lice na koje se podaci odnose obrati direktno Obrađivaču, Obrađivač o njegovom zahtjevu neće samostalno odlučivati u dijelu koji se tiče podataka kontrolora, nego će zahtjev bez odlaganja proslijediti kontroloru i o tome ga obavijestiti.

    Pomoć koja prelazi okvir standardnih funkcionalnosti platforme i zahtijeva značajan dodatni rad Obrađivač može naplatiti prema važećem cjenovniku dodatnih usluga, uz prethodnu najavu troška i saglasnost kontrolora.

17. 17.Povreda sigurnosti ličnih podataka

    Obrađivač će obavijestiti kontrolora bez nepotrebnog odlaganja, a najkasnije u roku od 72 sata od saznanja, o svakoj povredi sigurnosti ličnih podataka koje obrađuje u njegovo ime.

    Obavještenje sadrži opis prirode povrede, kategorije i približan broj pogođenih zapisa u mjeri u kojoj su poznati, vjerovatne posljedice, mjere koje su preduzete ili se predlažu, te kontakt osobu za dodatne informacije.

    Ako sve informacije nisu poznate odmah, Obrađivač će ih dostavljati u fazama, bez daljnjeg odlaganja.

    Prijavu nadležnom nadzornom organu i, kada je propisano, obavještavanje lica na koja se podaci odnose vrši kontrolor. Obrađivač će mu u tome pružiti razumnu pomoć i staviti na raspolaganje informacije kojima raspolaže.

    Obrađivač vodi internu evidenciju povreda i mjera preduzetih povodom njih.

18. 18.Pomoć kod procjene uticaja

    Obrađivač će kontroloru, u razumnom obimu i uzimajući u obzir prirodu obrade i informacije kojima raspolaže, pomoći u ispunjavanju obaveza koje se odnose na sigurnost obrade, procjenu uticaja na zaštitu ličnih podataka i eventualne konsultacije sa nadzornim organom.

    Pomoć se pruža dostavljanjem opisa obrade, tehničkih i organizacionih mjera i drugih informacija potrebnih kontroloru, a ne preuzimanjem obaveza koje propisi stavljaju u nadležnost kontrolora.

19. 19.Informisanje i provjera

    Obrađivač će kontroloru na pisani zahtjev staviti na raspolaganje informacije potrebne za dokazivanje ispunjenja obaveza iz ovog Ugovora.

    To po pravilu obuhvata opis primijenjenih tehničkih i organizacionih mjera, spisak podobrađivača, podatke o mjestu obrade i, kada postoje, sažetke izvještaja o nezavisnim sigurnosnim provjerama ili certifikate.

    Ako dostavljene informacije nisu dovoljne, kontrolor može jednom godišnje zatražiti dodatnu provjeru, uz najavu od najmanje trideset dana, u redovno radno vrijeme i uz obavezu čuvanja poslovne tajne.

    Provjera se u pravilu vrši u obliku pisanog upitnika i razgovora sa odgovornim osobama Obrađivača. Obrađivač nije dužan omogućiti neposredan pristup svojim prostorijama, produkcijskim sistemima, izvornom kodu ni infrastrukturi kojom upravljaju njegovi podobrađivači, niti bilo kakav pristup podacima drugih poslovnih korisnika.

    Vanrednu provjeru kontrolor može zatražiti i nakon potvrđene povrede sigurnosti koja se odnosi na njegove podatke, kao i kada to izričito naloži nadležni organ.

    Svaka strana snosi vlastite troškove provjere. Kada provjera prelazi okvir jednog godišnjeg upitnika, Obrađivač može naplatiti razuman trošak vlastitog angažmana, uz prethodnu najavu.

20. 20.Mjesto obrade i prenos podataka

    Obrađivač podatke pohranjuje i obrađuje kod podobrađivača navedenih u spisku podobrađivača, u državama koje su uz njih u tom spisku navedene.

    Prenos podataka u drugu državu moguć je samo kada su ispunjeni uslovi propisani propisima o zaštiti ličnih podataka, uključujući odgovarajuće ugovorne mehanizme zaštite sa primaocem podataka i, kada je propisano, odobrenje nadležnog organa.

    Obrađivač će kontroloru na zahtjev dati informaciju o državama u kojima se njegovi podaci obrađuju i o osnovu na kojem se prenos vrši, uključujući i podobrađivače uz koje mjesto obrade u spisku još nije objavljeno.

21. 21.Brisanje i vraćanje podataka

    Nakon prestanka pružanja usluga kontrolor može u roku od trideset dana zatražiti vraćanje podataka u uobičajenom strojno čitljivom formatu, njihovo brisanje, ili oboje.

    Ako kontrolor u tom roku ne dostavi zahtjev, Obrađivač će podatke izbrisati ili trajno anonimizirati najkasnije u roku od devedeset dana od prestanka ugovornog odnosa.

    Obrađivač može zadržati podatke i nakon isteka navedenih rokova kada i dok je to propisano obavezujućim propisom, uključujući računovodstvene i porezne propise, ili kada su podaci potrebni radi utvrđivanja, ostvarivanja ili odbrane pravnog zahtjeva. Takvi podaci se ne koriste ni za koju drugu svrhu i brišu se kada osnov za njihovo čuvanje prestane.

    Obrađivač će na zahtjev kontrolora pisano potvrditi izvršeno brisanje.

22. 22.Odgovornost

    Svaka strana odgovara za obaveze koje su joj ovim Ugovorom i propisima o zaštiti ličnih podataka izričito stavljene u nadležnost.

    Ograničenje odgovornosti ugovoreno u dokumentu XPay Ugovor o korištenju poslovne platforme primjenjuje se i na zahtjeve koji proizlaze iz ovog Ugovora, tako da ukupna odgovornost Obrađivača po oba dokumenta zajedno ne prelazi ugovoreni maksimum.

    Ako jedna strana naknadi štetu koja je u cijelosti ili djelimično nastala povredom obaveza druge strane, ima pravo od te strane zahtijevati naknadu u odgovarajućem dijelu.

    Ništa u ovom Ugovoru ne isključuje niti ograničava odgovornost koju prema primjenjivom pravu nije moguće isključiti ili ograničiti, niti utiče na prava lica na koja se podaci odnose prema nadležnom nadzornom organu.

23. 23.Trajanje i izmjene

    Ovaj Ugovor stupa na snagu prihvatanjem dokumenta XPay Ugovor o korištenju poslovne platforme i traje dok Obrađivač obrađuje lične podatke u ime kontrolora.

    Odredbe koje po svojoj prirodi trebaju važiti i nakon prestanka, prije svega odredbe o povjerljivosti, brisanju podataka i odgovornosti, ostaju na snazi.

    Obrađivač može izmijeniti ovaj Ugovor kada je izmjena potrebna zbog promjene propisa, zahtjeva nadzornog organa, promjene načina pružanja usluge ili sigurnosnih razloga. O materijalnim izmjenama kontrolor će biti obaviješten u razumnom roku prije početka njihove primjene.

    Verzija ovog dokumenta koju je kontrolor prihvatio evidentira se, tako da je uvijek moguće utvrditi koji je tekst bio na snazi u određenom trenutku.

24. 24.Odnos prema drugim dokumentima

    Ovaj Ugovor je sastavni dio dokumenta XPay Ugovor o korištenju poslovne platforme.

    U pitanjima obrade ličnih podataka koju Obrađivač vrši u ime kontrolora odredbe ovog Ugovora imaju prednost nad odredbama dokumenta XPay Ugovor o korištenju poslovne platforme, dokumenta Uslovi korištenja i dokumenta Politika privatnosti.

    U svim ostalim pitanjima primjenjuju se odredbe dokumenta XPay Ugovor o korištenju poslovne platforme.

    Ako je između Obrađivača i kontrolora zaključen poseban pisani ugovor koji pojedino pitanje obrade podataka uređuje drugačije, taj ugovor ima prednost u tom dijelu.

    Ako pojedina odredba ovog Ugovora bude ništava ili neprimjenjiva, ostale odredbe ostaju na snazi, a strane će ništavu odredbu zamijeniti odredbom koja najbliže odgovara njenoj svrsi.

25. 25.Mjerodavno pravo i nadležnost

    Na ovaj Ugovor primjenjuju se propisi Bosne i Hercegovine, uključujući propise o zaštiti ličnih podataka.

    Za sporove je nadležan stvarno nadležni sud u Sarajevu, osim kada obavezni propisi određuju drugačije.

    Prije pokretanja postupka strane će nastojati spor riješiti sporazumno.

26. 26.Kontakt

    Uputstva, zahtjeve i obavještenja u vezi sa ovim Ugovorom kontrolor dostavlja na info@xpay.ba ili pisano na adresu NoLimitDevelopment d.o.o., Ferde Hauptmana 2, Sarajevo, Bosna i Hercegovina.

    Obrađivač obavještenja dostavlja na adresu elektronske pošte navedenu u nalogu kontrolora, pa je kontrolor dužan tu adresu održavati tačnom i aktivnom.